9月17日、Help Net Securityが「AI is adding to the review load on open-source projects, many of them thinly funded」と題した記事を公開した。AIがコードを生成する速度は上がった。しかし、そのコードを人間がレビューする速度は変わっていない。この非対称性が、オープンソースの持続可能性に対して静かに圧力をかけている。本記事はACM（Association for Computing Machinery）のTechnology Policy Councilに所属するSimson GarfinkelおよびJosiah Dykstraら6名の共著論文をもとにまとめられたものだ。

レビュー負荷という見落とされがちなコスト

ほとんどのオープンソースプロジェクトは外部からのコントリビューション（コード貢献）を受け付けており、何をメインラインに取り込むかを決める権限は、信頼されたコントリビューター群が持つ。

AIツールはコードの記述とプルリクエストの送信を極めて容易にした。その結果、品質の低いコードの投稿量も増えている。モデルの精度が今後向上するとしても、増加した投稿量を人間がひとつひとつ評価しなければならない構造は変わらない。

オープンソースのコードはスマートフォン、自動車、クラウドシステム、AIプラットフォームに組み込まれている。Harvard Business Schoolの論文によれば、オープンソースがなければ企業のソフトウェアコストは3.5倍になると試算されている。それだけ広く依存されているにもかかわらず、多くのプロジェクトは安定した収入源を持たない。

脆弱性発見の高速化が招くパッチ地獄

AIは脆弱性の発見も速くした。GoogleのCodeMenderエージェントは一定期間のうちに、最大450万行規模のプロジェクトを含むオープンソースプロジェクトに72件のセキュリティ修正を貢献したとGoogleは述べている。

※元記事における当該期間の表現については、原文での確認を推奨する。相対的な記述（例：「過去6か月」）を絶対期間に変換した場合、記事公開日との整合性に注意が必要だ。

ただし、脆弱性を発見・修正できるモデルは、攻撃の構築にも転用できる。著者らは、高度なセキュリティモデルのアクセスを信頼済みユーザーに限定しても意味がないと指摘する。汎用モデルの能力が継続的に向上しているためだ。

さらに問題なのがパッチ適用の連鎖コストだ。AI発見の脆弱性は組織に早期対応を迫るが、多数のオープンソースコンポーネントで構成されたアプリケーションでは、各コンポーネントが個別にパッチを当てて再リリースするプロセスを順番にこなす必要がある。依存関係の深さがそのままパッチ適用コストになる。

悪意ある攻撃者が人気リポジトリに不正パッケージやコードを埋め込む手口（サプライチェーン攻撃）も増加しており、レビュー体制の手薄なプロジェクトほど標的になりやすい。

資金の偏りという構造問題

著者らが示す数字は現実を端的に示している。

• Linux Foundationの2024年収入：2億9,221万ドル
• Apache Software Foundationの2024年収入：237万ドル（Linux Foundationの1%未満）

Apacheは、ボランティア労働とスポンサーシップで運営されているプロジェクトの典型例として引用されている。オープンソース全体では、ほとんどのユーザーが対価を払わない。これは経済学で言うフリーライダー問題（費用を負担せず便益だけを享受する構造）そのものだ。

SBOMで「何が動いているか」はわかる。でも「安全かどうか」はわからない

SBOM（Software Bill of Materials、ソフトウェア部品表）は、アプリケーション内のコンポーネントをリスト化した機械可読ファイルだ。米国・EUの規制でその生成・提供が求められるようになっているが、大多数のオープンソースアプリケーションはSBOMを生成・同梱していない。

さらに著者らは重要な限界を指摘する。SBOMはそのコンポーネントが「存在すること」を示すにすぎない。メンテナンスされているか、資金があるか、セキュアか、放棄されていないかは、SBOMからは読み取れない。

著者らの提言

オープンソースはプロジェクト単位でガバナンスが分散しているため、AI影響のエコシステム全体の統計を取ること自体が難しい。著者らはプロジェクトに対し、ドキュメント整備・パッケージング・資金調達・要件収集により多くのリソースを投入することを求めている。

この提言が有効なのは、単なる効率論ではなく構造的な理由による。プロジェクトの方向性を決め、コミュニティの合意を形成し、貢献者の信頼を育てる作業は、依然として人間にしかできない。AIがコード生成を加速すればするほど、こうした「人間的な判断」に使えるリソースが相対的に希薄になる。だからこそ、技術的な作業の外側——ガバナンスや資金調達——への意識的な投資が、今まさに必要とされている。

多くの組織が今直面している最大の課題は、自分たちが利用しているソフトウェアのガバナンス状態・メンテナンス状態・セキュリティ状態を把握し、何かが壊れる前にクリティカルな依存関係を特定することだと著者らは結論づけている。

詳細はAI is adding to the review load on open-source projects, many of them thinly fundedを参照していただきたい。